Skill Trust Decision
meituan-hotel-deals-xp
合法的美团酒店特价搜索技能，存在硬编码凭证和文档不一致等轻微瑕疵，但无恶意行为。
Why this conclusion was reached
0/4 dimensions flagged Pass
Declared vs actual capability
Declared resources and inferred behavior are broadly aligned.
Review
Hidden execution and egress
1 lower-risk artifacts were extracted and still need context.
Pass
Attack chain and severe findings
There is no explicit malicious chain in the report.
Review
Dependencies and supply chain hygiene
Dependency information is incomplete, so supply-chain confidence stays limited.
What drove the risk score up
硬编码API token +10
PROXY_TOKEN硬编码在代码中（第8行）
文档与行为不一致 +8
声称不存储用户数据，但向第三方发送城市/品牌参数
外部网络通信 +4
向腾讯云SCF代理发送搜索请求
Most important evidence
Low Priv Escalation
硬编码API凭证
代理token (tp_8k2mX9vQ4z) 硬编码在源代码中，如果代码仓库公开会导致凭证泄露。
scripts/meituan_hotel.py:8 使用环境变量存储敏感凭证，避免硬编码
Low Doc Mismatch
文档声明与实际行为不符
SKILL.md声称「不存储用户数据」，但代码确实向腾讯云SCF发送city/brand等参数，存在数据外传。
SKILL.md:48 修正文档，明确说明搜索参数会发送至腾讯云代理
Low Supply Chain
无依赖锁定文件
仅使用Python标准库(urllib)无第三方依赖，但缺少requirements.txt等依赖管理文件。
scripts/meituan_hotel.py:1 创建requirements.txt明确声明依赖版本
Declared capability vs actual capability
Network Pass
Declared READ
→ Inferred READ
代码仅通过urllib.request发送HTTP POST请求 Suspicious artifacts and egress
Medium External URL
https://1439498936-cltb2hszg7.ap-guangzhou.tencentscf.com scripts/meituan_hotel.py:8
Dependencies and supply chain
There are no structured dependency warnings.
File composition
2 files · 232 lines
Python 1 files · 179 linesMarkdown 1 files · 53 lines
Files of concern · 2
scripts/meituan_hotel.py 硬编码API凭证 · 无依赖锁定文件 · https://1439498936-cltb2hszg7.ap-guangzhou.tencentscf.com
SKILL.md 文档声明与实际行为不符
Security positives
仅使用Python标准库，无可疑第三方依赖
无shell执行、文件写入、凭证收割等高危操作
代码逻辑简单清晰，易于审计
无Base64编码、eval调用等混淆行为
参数传递有基本的null防护